Badan Siber dan Sandi Negara (BSSN) menerbitkan peringatan dan Security Advisory pada Kamis, 22 Oktober 2026, tentang dua celah kritis PHP yang dijuluki PHP2Shell. Peringatan itu disampaikan lewat akun X resmi BSSN. Isinya sejalan dengan laporan kami soal PHP2Shell yang sudah dieksploitasi penyerang sejak sebelum celahnya diumumkan.
Menurut CNN Indonesia, kedua celah, CVE-2026-109618 dan CVE-2026-109619, berpotensi dimanfaatkan untuk eksekusi kode jarak jauh (RCE) tanpa autentikasi. Penyerang cukup mengirim permintaan khusus ke server. Karena PHP menjadi dasar WordPress, Laravel, dan banyak portal instansi, pengelola website di Indonesia diminta tidak menunda pembaruan.
Isi peringatan BSSN
BSSN menjelaskan CVE-2026-109618 terkait penanganan kondisi kehabisan memori (out-of-memory), sedangkan CVE-2026-109619 terkait pengaksesan memori yang sudah dilepaskan (use-after-free). Celah kedua bisa mengganggu kerja server dan membuka peluang RCE. Medcom mencatat dampaknya mencakup gangguan layanan, akses ke data, sampai data yang diubah atau dihapus.
Versi PHP 8.5, 8.4, 8.3, dan 8.2 terdampak. PHP 8.1 dan yang lebih lama juga perlu diperhatikan karena sudah end-of-life dan tidak mendapat pembaruan resmi. Versi yang sudah diperbaiki adalah 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.
Langkah yang diminta BSSN dan Komdigi
BSSN meminta pengelola layanan web memperbarui seluruh runtime PHP ke versi yang sudah diperbaiki, lalu me-restart layanan terkait. Medcom menambahkan satu poin yang sering terlewat: periksa versi PHP yang benar-benar berjalan di server, bukan hanya versi CMS-nya. Pembaruan berlaku untuk PHP-FPM, Apache mod_php, dan php-cgi.
Kalau belum bisa memperbarui, BSSN menyarankan membatasi akses jaringan ke sistem yang terdampak atau mengisolasi layanan yang terhubung langsung ke internet. Langkah itu bukan pengganti pembaruan. Kementerian Komunikasi dan Digital (Komdigi) meminta pengelola memprioritaskan instalasi yang terdampak dan menegaskan bahwa perubahan konfigurasi saja tidak memberi perlindungan menyeluruh.
Untuk pengguna shared hosting
Pengguna shared hosting biasanya tidak bisa mengganti versi PHP di level server. Tanyakan langsung ke penyedia hosting apakah server sudah menjalankan versi yang diperbaiki, atau cek nomor versi PHP di panel hosting. Paket dari distribusi Linux kadang tetap memakai nomor versi lama meski sudah berisi patch, jadi minta keterangan soal CVE-2026-109618 dan CVE-2026-109619 dalam changelog-nya.
Beberapa media menulis bahwa jutaan website di Indonesia berisiko. Sumber yang kami baca tidak menyebut jumlah pasti situs Indonesia yang terdampak, dan belum ada laporan resmi tentang situs yang sudah dibobol. Celah PHP lain, CVE-2026-115560, juga belum punya patch dan perlu mitigasi tersendiri.
Sumber: CNN Indonesia, Medcom.id. Gambar: Medcom.id